CVE-2025-62430
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
ClipBucket v5 do build 5.5.2 #145 pozwala na przechowywane XSS w wielu polach metadanych wideo i zdjęć. Pola takie jak Tags, Genre, Actors, Producer, Executive Producer, Director dla wideo oraz Photo Title i Photo Tags dla zdjęć przyjmują wartości od użytkownika bez odpowiedniej sanityzacji. Zwykły użytkownik mogący edytować wideo lub zdjęcie może wstrzyknąć skrypt, który wykona się, gdy inny użytkownik (w tym niezalogowany gość lub administrator) wyświetli stronę. Wersja 5.5.2 build #146 i późniejsze zawierają poprawkę.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży danych, wykonywania niepożądanych akcji lub przejęcia sesji. Ryzyko dotyczy organizacji korzystających z ClipBucket v5 w wersjach do build 5.5.2 #145.
Rekomendacja
Zaktualizuj ClipBucket v5 do wersji 5.5.2 build #146 lub nowszej. Nie ma znanych obejść — aktualizacja jest konieczna.
Inne podatności w ClipBucket v5
Zobacz wszystkie- CVE-2026-102570Średnie
ClipBucket v5 do 5.5.3-#197 zawiera podatność na ślepą iniekcję SQL opartą na czasie w funkcji aktualizacji języka, gdzie parametr language_id jest konkatenowany bez escapowania do klauzuli WHERE w zapytaniu UPDATE. Uwierzytelniony administrator z uprawnieniami basic_settings może wstrzyknąć dowolne zapytania SQL w celu wyodrębnienia lub modyfikacji zawartości bazy danych.
- CVE-2012-6643Wysokie
Wielokrotne podatności na wstrzykiwanie SQL w funkcji update_counter w pliku includes/functions.php w ClipBucket 2.6 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL za pomocą parametru time w plikach videos.php lub channels.php.
- CVE-2026-80138Krytyczne
Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.
- CVE-2026-42846Krytyczne
ClipBucket v5 to otwartoźródłowa platforma do udostępniania wideo. W wersjach przed 5.5.3 - #140, funkcja Remote Play pozwalała na dodawanie wideo przez importowanie zewnętrznego URL, co prowadziło do wykonania dowolnych poleceń systemowych z powodu braku odpowiedniego zabezpieczenia URL.
- CVE-2026-21875Krytyczne
ClipBucket v5 (wersje 5.5.2-#187 i niższe) umożliwia atakującemu wykonanie ślepego SQL Injection przez sekcję dodawania komentarzy w kanale. Parametr obj_id w żądaniu POST do /actions/ajax.php jest używany w funkcji user_exists w pliku upload/includes/classes/user.class.php jako parametr $id, a następnie w funkcji count w pliku upload/includes/classes/db.class.php. Parametr $id jest konkatenowany do zapytania bez walidacji i sanityzacji, a dane wejściowe takie jak 1' or 1=1-- - mogą wywołać wstrzyknięcie. W chwili publikacji nie ma poprawki.
- CVE-2025-67418Krytyczne
ClipBucket 5.5.2 zawiera domyślne, zakodowane na stałe dane uwierzytelniające administratora. Niezalogowany atakujący zdalny może zalogować się do panelu administracyjnego, uzyskując pełną kontrolę nad aplikacją.
- CVE-2025-64338Krytyczne
ClipBucket v5 w wersjach 5.5.2 - #156 i niższych pozwala uwierzytelnionemu zwykłemu użytkownikowi na utworzenie kolekcji zdjęć, której nazwa zawiera ładunki HTML/JavaScript, co czyni funkcję Manage Photos podatną na trwały XSS. Ładunek jest renderowany w interfejsie Admin → Manage Photos, co powoduje jego wykonanie w przeglądarce administratora, umożliwiając atakującemu działanie z podniesionymi uprawnieniami.
- CVE-2026-103766Wysokie
ClipBucket v5 do wersji 5.5.3-#197 zawiera podatność na wstrzyknięcie SQL, która umożliwia uwierzytelnionym użytkownikom z uprawnieniem ad_manager_access wstrzykiwanie SQL przez parametr delete w admin_area/ads_manager.php. Atakujący mogą używać ślepych payloadów opartych na czasie, aby wyodrębnić dane uwierzytelniające i e-maile użytkowników lub modyfikować i usuwać rekordy.
- CVE-2026-102569Średnie
ClipBucket v5 do 5.5.3-#197 zawiera podatność na ślepą iniekcję SQL opartą na czasie w funkcji edycji wideo w panelu administratora, gdzie parametr videoid jest konkatenowany do zapytania UPDATE bez odpowiedniego escapowania. Uwierzytelniony administrator z uprawnieniami video_moderation może wstrzyknąć dowolne komendy SQL w celu wyodrębnienia lub modyfikacji zawartości bazy danych.
- CVE-2026-100372Wysokie
ClipBucket v5 przed 5.5.3-#197 zawiera podatność typu path traversal w edytorze szablonów administratora, która pozwala uwierzytelnionym administratorom nadpisywać pliki PHP poprzez podanie sekwencji przejścia katalogowego w parametrze folder. Atakujący z uprawnieniem manage_template_access może wyjść poza katalog layout, aby modyfikować wykonywalne pliki PHP i osiągnąć zdalne wykonanie kodu jako użytkownik serwera WWW.
Oryginalny opis (angielski, źródło NVD)
ClipBucket v5 is an open source video sharing platform. ClipBucket v5 through build 5.5.2 #145 allows stored cross-site scripting (XSS) in multiple video and photo metadata fields. For videos the Tags field and the Genre, Actors, Producer, Executive Producer, and Director fields in Movieinfos accept user supplied values without adequate sanitization. For photos the Photo Title and Photo Tags fields accept user supplied values without adequate sanitization. A regular user who can edit a video or photo can inject script (for example by supplying a value such as a closing delimiter followed by a script element). The injected script executes when any user, including an unauthenticated visitor or an administrator, views the affected video or photo page. Although cookies are set with the HttpOnly attribute and cannot be read directly, the injected script can issue fetch requests to endpoints such as admin_area pages and exfiltrate their contents or trigger unintended actions. Version 5.5.2 build #146 and later contain a fix. Update to build 5.5.2 #146 or later. No known workarounds exist.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS